Décrypter la conformité, la sécurité et l'IA.
Nos DPO et CISO partagent ici régulièrement leur lecture de l'actualité réglementaire et technique : nouvelles lignes directrices CNPD, sanctions notables, retours d'expérience d'incidents, évolutions AI Act, NIS 2, DORA. Pour aller au-delà du communiqué de presse.
FortiBleed: 73 932 pare-feux Fortinet exposés — FIDO2 obligatoire
FortiBleed a exposé ~74 000 pare-feux/VPN Fortinet via des identifiants volés et réutilisés. Une MFA résistante au phishing (FIDO2/WebAuthn) répond à l’article 32 du RGPD et coupe l’accès initial.
CNPD — Géolocalisation salariés: 2 mois par défaut, AIPD fréquente
La CNPD précise: conservation « 2 mois par défaut », interdiction de suivi hors temps de travail en cas d’usage privé, et AIPD dès qu’il y a contrôle régulier/systématique. Mesures à déployer sans délai.
Kodak hacké: ShinyHunters revendique 2,2 M d’enregistrements
Kodak confirme une intrusion tandis que ShinyHunters revendique 2,2 M d’enregistrements. Voici comment une DLP conforme au RGPD (art. 32 et 44‑49) réduit l’exfiltration et prépare les preuves.
France Travail sanctionné 5 M€: l’article 32 RGPD sous contrôle
La CNIL a infligé 5 M€ à France Travail pour manquements à l’article 32 RGPD: des mesures de sécurité prévues dans l’AIPD mais non déployées. Un signal clair pour le Luxembourg.
Foxconn frappé par Nitrogen: 8 To volés — le PAM devient incontournable
Le 13/05/2026, Foxconn confirme une attaque revendiquée par Nitrogen: 8 To et 11 M+ de fichiers volés, ralentissements d’usines nord-américaines. Un PAM zero trust répond à NIS 2 art. 21 et coupe l’accès admin qui rend ces attaques possibles.
Article 28 RGPD: quand un prestataire est sous-traitant (AEPD SEUR/Citibox)
Le 8 juin 2026, l’AEPD a sanctionné SEUR et Citibox pour absence de contrat de sous-traitance conforme à l’article 28 RGPD dans un schéma « transporteur + casiers ». Le libellé contractuel ne suffit pas: la réalité des traitements prime.
CJUE: vérification d’âge pour sites porno étrangers, sous conditions
La CJUE (16 juin 2026) valide, sous conditions strictes, l’obligation pour des sites pornographiques établis dans un autre État membre d’appliquer une vérification d’âge. Signal fort pour ARCOM et impacts RGPD immédiats.
Shai-Hulud: vol de jetons supply chain — FIDO2 devient incontournable
Zscaler documente « Shai-Hulud »: compromissions GitHub/npm/PyPI, détournement OIDC et IOCs publics. Une MFA FIDO2/WebAuthn, résistante au phishing, répond à l’article 32 RGPD et coupe l’accès initial.
RGPD: clôture de plainte et absence de recours art. 78 si non concerné
Le Conseil d’État (20 mai 2026) juge qu’une clôture de plainte par la CNIL n’est pas une « décision juridiquement contraignante » ouvrant un recours art. 78 RGPD si le plaignant n’est pas concrètement affecté.
AI Act: Code de pratiques publié — J-46 pour vos mentions IA
La Commission a publié le 10 juin 2026 un Code de pratiques pour le marquage/étiquetage des contenus générés par l’IA. À compter du 2 août 2026, les obligations de transparence (art. 50) s’appliquent. Signez et mettez en œuvre cette semaine.
DSG Retail v ICO élargit le devoir de sécurité: une DLP sérieuse
La Cour d’appel anglaise confirme un devoir de sécurité élargi: anticiper l’identification par recoupement. Voici comment une DLP alignée ISO 27001 répond à l’article 32 RGPD.
RGPD : Free Mobile/Free sanctionnées 42 M€, les 72 h
CNIL sanctionne Free Mobile (27 M€) et Free (15 M€) après une violation touchant 24 M de contrats. Priorités: sécurité (art. 32), contenu des notifications à l’autorité (art. 33) et des communications aux personnes (art. 34).